Los equipos de TI de la mayoría de las organizaciones están familiarizados con los procesos de recuperación ante desastres y de continuidad del negocio. Sin embargo, es posible que algunos no sean conscientes de la importancia de realizar un análisis de impacto en el negocio (BIA). El BIA es uno de los elementos más importantes de un plan de continuidad del negocio. Ayuda a las empresas a determinar el impacto financiero de las interrupciones del servicio o de cualquier otra perturbación en su actividad.
¿Qué es un análisis de impacto empresarial y por qué es importante?
Un análisis de impacto en el negocio (BIA) identifica las consecuencias de una pérdida repentina de las funciones empresariales, normalmente en términos de coste para la empresa. Un BIA también identifica las funciones empresariales más críticas, lo que permite crear un plan de continuidad del negocio que priorice la recuperación de estas funciones esenciales. Sin embargo, la causa de la interrupción del negocio no es importante. Podría deberse a negligencia, un desastre natural, un ciberataque u otras causas. En cambio, analiza el impacto del desastre en el negocio, prioriza los recursos y determina el mejor enfoque para la recuperación.
Un BIA consta de tres componentes clave:
- Impacto empresarial
- Plazos
- Dependencias
Cada uno de estos aspectos se analiza con más detalle a continuación. Como parte de la base de un plan de continuidad del negocio, un análisis de impacto en el negocio (BIA) es esencial para la recuperación de la actividad empresarial en caso de desastre.
Impacto empresarial
Determinar las funciones empresariales más críticas en función de su costo para la empresa.
Un BIA determina las funciones más importantes de una empresa que le permiten mantenerse a flote: su conjunto completo de procesos empresariales, los recursos necesarios para ejecutar dichos procesos y los sistemas requeridos para ello. El coste potencial asociado a una interrupción de la actividad empresarial —como la pérdida de ingresos, las sanciones por incumplimiento normativo, las penalizaciones contractuales por incumplimiento de los acuerdos de nivel de servicio (SLA), el aumento de los costes operativos, etc.— se calcula en términos de dólares reales para cada función empresarial.
Para evaluar el impacto financiero, un método consiste en utilizar un cuestionario con preguntas cuyas respuestas se valoran en una escala de 1 a 5. Por ejemplo:
- ¿Cuál sería la pérdida potencial de ingresos si esta función de la empresa dejara de funcionar?
- ¿En qué multas y sanciones incurriría la empresa?
- ¿Qué incremento de los costos de explotación experimentaría la empresa?
También puede haber costos no monetarios para la empresa. Por ejemplo, daños a la reputación y pérdida de fondo de comercio. Su cuestionario también podría incluir preguntas como:
- ¿Cuál sería el daño potencial para la reputación de la empresa?
- ¿Cuál sería el impacto en el servicio al cliente?
Identificar las amenazas potenciales para estas funciones
Una vez que el BIA identifica las funciones críticas de la empresa, determina los riesgos asociados a ellas, así como las condiciones que pueden desencadenar una interrupción del proceso de negocio y la probabilidad de que se repita el riesgo.
Plazos
Hay tres plazos que su BIA debe abordar:
- Objetivo de punto de recuperación (RPO): normalmente, el intervalo de tiempo entre copias de seguridad de los datos que representa el tiempo máximo durante el cual se pueden perder datos en caso de desastre.
- Objetivo de tiempo de recuperación (RTO): el tiempo que tardarías en recuperar los datos a partir de una copia de seguridad.
- Tiempo máximo de inactividad admisible (MAD): el periodo máximo de inactividad que una función empresarial concreta puede permitirse. Debe incluir el tiempo que se tardaría en restablecer el pleno funcionamiento de dicha función tras la restauración de una copia de seguridad.
Dependencias
Un análisis de impacto en el negocio (BIA) debe determinar las dependencias entre los procesos y los sistemas de la empresa. Esto ayuda a priorizar los sistemas que deben recuperarse en primer lugar. Un BIA le ayuda a determinar el orden en el que deben restablecerse las funciones o los procesos que se han perdido. Una función empresarial de la que dependan más procesos para su funcionamiento tendrá mayor prioridad en el proceso de recuperación que otras.
También podría haber dependencias con respecto a determinados proveedores con los que tendrá que trabajar para restaurar diversos sistemas y funciones. Por ejemplo, proveedores informáticos y de servicios de Internet, que deben estar documentados en el BIA.
¿Existen normas BIA?
Varias normas ofrecen orientación sobre cómo crear un BIA. Entre ellas figuran la Organización Internacional de Normalización (ISO) 22301, la Ley Nacional de Protección contra Incendios 1600 y la norma BCP para instituciones financieras del Consejo Federal de Examen de Instituciones Financieras (FFIEC).
Análisis del impacto en el negocio como parte de la planificación de la continuidad del negocio
Un plan de continuidad del negocio (BCP) describe las medidas que deben adoptarse en caso de una interrupción o fallo, mientras que un análisis de impacto en el negocio (BIA) identifica el riesgo que podría provocar dicha interrupción, así como las funciones críticas de la empresa que podrían verse afectadas por ella, y establece un orden de prioridad para su recuperación. Un BIA sienta las bases para un plan de continuidad del negocio sólido y prepara a una organización para el esfuerzo inevitable que requiere la recuperación tras una interrupción del negocio. Los BCP no solo se centran en las operaciones técnicas (problemas de hardware/software), sino que también tienen en cuenta al personal y otros recursos relacionados con la continuidad del negocio.
Una vez establecido el BIA, conviene revisarlo y actualizarlo periódicamente, a medida que la empresa cambia. Esto le permitirá aprovechar el BIA de forma eficaz para hacer frente a nuevos riesgos y retos. Se recomienda hacerlo al menos cada dos años. Un BIA, junto con la planificación de la continuidad del negocio, permite a una organización minimizar el tiempo de inactividad y garantizar la productividad de la plantilla incluso en caso de crisis.
Obtenga más información sobre la planificación de la continuidad de la actividad empresarial en nuestro libro electrónico Transformar una crisis en una oportunidad.
